Verwerkersovereenkomst

Versie 9 september 2026. Gebruik per klant samen met de volledig ingevulde en overeengekomen bijlage hieronder. Een leeg model is geen afgesloten overeenkomst en bevestigt geen bestaande beveiligingsmaatregelen.

1. Partijen en opdracht

Verwerkingsverantwoordelijke: [juridische naam klant, adres, KvK en vertegenwoordiger].

Verwerker: Jari Boshoven, handelend als Studio Jarbo en Leafstream, KvK 98569295, Theodora Eigemanpad 112, 2625 DZ Delft. Contact: info@leafstream.nl.

Deze overeenkomst hoort bij opdracht [referentie en datum]. Zij geldt vanaf aanvang van de verwerking tot alle gegevens overeenkomstig artikel 8 zijn teruggegeven of verwijderd. Voor verwerking namens klant gaat deze overeenkomst bij strijd voor op de algemene voorwaarden en SLA. Verplichte privacyregels blijven voorgaan. Voor Leafstreams eigen zakelijke administratie geldt zijn privacyverklaring.

2. Instructies en bevoegdheden

Leafstream verwerkt de gegevens uitsluitend voor de in de bijlage bepaalde werkzaamheden en volgens aantoonbare instructies van klant, ook bij doorgifte naar een derde land. Een wettelijke verwerkingsverplichting wordt vooraf meegedeeld, tenzij de wet dit om zwaarwegende redenen verbiedt. Leafstream informeert klant direct als een instructie naar zijn oordeel in strijd is met toepasselijk gegevensbeschermingsrecht en schort alleen de betrokken onrechtmatige verwerking op terwijl partijen een rechtmatige oplossing bespreken.

Klant bepaalt het doel, de grondslag, de betrokken gegevens en toegestane gebruikers. Klant zorgt voor rechtmatige instructies, informatie aan betrokkenen en beantwoording van hun verzoeken. Leafstream behoudt zijn eigen wettelijke verplichtingen. Persoonsgegevens worden niet voor eigen marketing, profilering of training van AI-modellen gebruikt. Invoer in ontwikkel- of AI-tools valt niet onder deze opdracht zonder afzonderlijke rechtmatige instructies en passende afspraken over de leverancier.

3. Personen en beveiliging

Toegang is beperkt tot personen die deze nodig hebben. Zij zijn gebonden aan geheimhouding en krijgen instructies die passen bij hun taak. Dat geldt ook voor vervanging bij ziekte of vakantie. Waar een zelfstandige vervanger subverwerker is, geldt tevens artikel 4.

Leafstream treft en onderhoudt passende maatregelen conform artikel 32 AVG. De bijlage vermeldt de concrete maatregelen, eigenaren en controlefrequentie. Relevante uitgangspunten zijn individuele accounts, minimale rechten, passende sterke authenticatie, versleuteld transport, beveiligd beheer van sleutels, updates, logging met beperkte toegang, gecontroleerde backups en hersteltests. Of maatregelen op alle onderdelen uitvoerbaar en passend zijn, wordt vóór aanvang per dienst vastgelegd. Een wijziging mag het overeengekomen beschermingsniveau niet verminderen zonder een rechtmatige, schriftelijk overeengekomen vervanging.

4. Subverwerkers en internationale doorgifte

Klant geeft algemene schriftelijke toestemming voor de in de bijlage geïdentificeerde subverwerkers. Toevoeging of vervanging wordt minimaal 30 kalenderdagen vooraf gemeld met naam, taak, locaties en relevante doorgiftewaarborgen. Klant kan binnen die termijn gemotiveerd bezwaar maken op gegevensbeschermingsgronden. Partijen onderzoeken een passende oplossing; zolang een redelijk bezwaar niet is opgelost, wordt de betreffende verwerking niet aan de nieuwe partij overgedragen. Een noodzakelijke kortere termijn vereist afzonderlijk schriftelijk akkoord. Als een rechtmatige oplossing uitblijft, kan klant het getroffen dienstonderdeel beëindigen zonder exitboete, met de overeengekomen teruggave en afrekening van geleverde diensten.

Leafstream legt aan subverwerkers ten minste gelijkwaardige gegevensbeschermingsverplichtingen op en blijft tegenover klant verantwoordelijk voor hun nakoming voor zover de AVG dat bepaalt. Een algemene handelsnaam zoals Hostinger of Vercel vervangt niet de identificatie van de daadwerkelijk gecontracteerde entiteit en verwerkingsketen.

Doorgifte buiten de EER, inclusief relevante toegang op afstand, vindt alleen plaats met een geldige grond onder hoofdstuk V AVG. De bijlage vermeldt landen, toepasselijk besluit of instrument, noodzakelijke aanvullende maatregelen en de manier waarop klant hiervan een kopie krijgt. Deze overeenkomst zelf is geen doorgifte-instrument.

5. Datalekken en incidenten

Zodra Leafstream kennis heeft van een inbreuk in verband met de namens klant verwerkte persoonsgegevens, meldt hij deze zonder onredelijke vertraging aan het incidentcontact van klant. De melding wacht niet op kantooruren, een afgerond onderzoek of technisch herstel. De normale SLA-reactietijden vervangen deze verplichting niet; dit is geen algemene 24/7-helpdeskgarantie.

De eerste melding bevat de beschikbare aard en omvang, betrokken categorieën gegevens en personen, vermoedelijke gevolgen, genomen of voorgenomen maatregelen en het contact voor opvolging. Ontbrekende informatie volgt gefaseerd zonder onredelijke vertraging. Leafstream beveiligt bewijs en registreert feiten en maatregelen. Hij werkt mee aan beperking, onderzoek en herstel. Klant beslist over meldingen aan toezichthouder en betrokkenen, behoudens een eigen wettelijke verplichting van Leafstream. Partijen bewaren hun eigen wettelijke verantwoordelijkheden.

Klanten melden vermoedens bij info@leafstream.nl. Het incidentcontact en de noodroute bij onbereikbaarheid aan beide kanten worden in de bijlage vastgelegd. Er worden geen wachtwoorden of onnodige persoonsgegevens in een gewone incidentmail opgenomen.

6. Rechten, beoordeling en toezicht

Leafstream ondersteunt klant, rekening houdend met aard van de verwerking en beschikbare informatie, bij rechtenverzoeken en verplichtingen uit artikelen 32 tot en met 36 AVG, waaronder datalekonderzoek, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging. Een ontvangen rechtenverzoek wordt zonder onredelijke vertraging doorgestuurd. Leafstream handelt het niet zelfstandig inhoudelijk af tenzij klant daartoe rechtmatig opdracht geeft of een eigen wettelijke verplichting geldt.

Leafstream verstrekt de informatie die nodig is om naleving van artikel 28 AVG aan te tonen en werkt mee aan audits en inspecties door klant of diens onafhankelijke auditor. Partijen stemmen tijdstip, vertrouwelijkheid en bescherming van andere klanten redelijk af. Deze afstemming verhindert geen noodzakelijke spoedcontrole of optreden van een toezichthouder. Bestaande relevante rapporten mogen een audit ondersteunen, maar sluiten noodzakelijke aanvullende controle niet uit.

Gewone uitvoering van deze verplichtingen mag niet afhankelijk worden gemaakt van betaling van ongerelateerde facturen. Voor uitzonderlijk extra werk kunnen partijen vooraf een redelijke, transparante vergoeding overeenkomen voor zover dit wettelijke rechten niet belemmert. Herstel van Leafstreams eigen tekortkoming wordt niet als extra audit- of assistentiewerk aan klant doorbelast.

7. Aansprakelijkheid

De rechtsgeldig overeengekomen contractuele aansprakelijkheidsafspraken gelden voor onderlinge aanspraken voor zover toegestaan. Zij beperken geen rechten van betrokkenen, bevoegdheden van toezichthouders of dwingende AVG-verantwoordelijkheden. Deze overeenkomst introduceert geen nieuw financieel maximum of automatische vrijwaring voor Leafstreams eigen fouten.

8. Einde verwerking

Na afloop geeft Leafstream naar keuze van klant de persoonsgegevens terug of verwijdert deze, en verwijdert bestaande kopieën, tenzij wettelijke bewaring verplicht is. De bijlage regelt exportvorm, beveiligde levering, controle door klant en verwijderdata, met behoud van toepasselijke wettelijke terughaalrechten. De reguliere backupretentie van zeven dagen geldt alleen voor de afgesproken beheerscope en vervangt geen langere verplichte exportvoorziening.

Een wettelijk of overeengekomen te bewaren kopie wordt beperkt, afgeschermd en niet voor andere doelen gebruikt. Voor technisch nog niet overschreven herstelbackups gelden de overeengekomen cyclus, toegangsbeperking en opnieuw toepassen van verwijderinstructies bij herstel. Leafstream bevestigt de uitvoering schriftelijk, inclusief de resterende wettelijke uitzonderingen en definitieve verwijdermomenten.

Bijlage — vóór verwerking invullen en overeenkomen

Ondertekening klant: [naam, bevoegdheid, datum, handtekening].

Ondertekening Leafstream: Jari Boshoven, [datum, handtekening].

Juridische basis: AVG, met name artikelen 28, 32–36 en hoofdstuk V. Dit model moet met de feitelijke dienstbijlage worden overeengekomen; het publiceert of activeert op zichzelf geen klantcontract.

Alle juridische documenten